Πώς να ρυθμίσετε τον έλεγχο ταυτότητας δύο παραγόντων (2FA) για SSH στο Debian 9 χρησιμοποιώντας το Google Authenticator

Υπάρχουν διάφοροι τρόποι σύνδεσης σε διακομιστή μέσω SSH. Οι μέθοδοι περιλαμβάνουν σύνδεση με κωδικό πρόσβασης, σύνδεση βάσει κλειδιού και έλεγχο ταυτότητας δύο παραγόντων.

Ο έλεγχος ταυτότητας δύο παραγόντων είναι ένας πολύ καλύτερος τύπος προστασίας. Σε περίπτωση που ο υπολογιστής σας παραβιαστεί, ο εισβολέας θα εξακολουθεί να χρειάζεται έναν κωδικό πρόσβασης για να συνδεθεί.

Σε αυτό το σεμινάριο, θα μάθετε πώς να ρυθμίζετε τον έλεγχο ταυτότητας δύο παραγόντων στο Debian 9 χρησιμοποιώντας το Google Authenticator και το SSH.

Προαπαιτούμενα

• Διακομιστής Debian 9 (ή νεότερος).
• Ένας χρήστης χωρίς root με πρόσβαση sudo.
• Ένα έξυπνο τηλέφωνο (Android ή iOS) με εγκατεστημένη την εφαρμογή Google Authenticator. Μπορείτε επίσης να χρησιμοποιήσετε το Authy ή οποιαδήποτε άλλη εφαρμογή που υποστηρίζει συνδέσεις με έναν κωδικό πρόσβασης (TOTP) βάσει χρόνου.

Βήμα 1: Εγκατάσταση της Βιβλιοθήκης Επαληθευτή Google

Πρέπει να εγκαταστήσουμε τη λειτουργική μονάδα Βιβλιοθήκης Επαληθευτή Google που είναι διαθέσιμη για το Debian, η οποία θα επιτρέπει στον διακομιστή να διαβάζει και να επικυρώνει κώδικες.

sudo apt update
sudo apt install libpam-google-authenticator -y

Βήμα 2: Διαμορφώστε το Google Authenticator για κάθε χρήστη

Διαμορφώστε τη μονάδα.

google-authenticator

Μόλις εκτελέσετε την εντολή, θα σας τεθούν ορισμένες ερωτήσεις. Η πρώτη ερώτηση θα είναιDo you want authentication tokens to be time-based (y/n)

Πατήστε Yκαι θα λάβετε έναν κωδικό QR, μυστικό κλειδί, κωδικό επαλήθευσης και εφεδρικούς κωδικούς έκτακτης ανάγκης.

Βγάλτε το τηλέφωνό σας και ανοίξτε την εφαρμογή Google Authenticator. Μπορείτε είτε να σαρώσετε τον κωδικό QR είτε να προσθέσετε το μυστικό κλειδί για να προσθέσετε μια νέα καταχώρηση. Αφού το κάνετε αυτό, σημειώστε τους εφεδρικούς κωδικούς και κρατήστε τους κάπου ασφαλείς. Σε περίπτωση που το τηλέφωνό σας δεν τοποθετηθεί σωστά ή καταστραφεί, μπορείτε να χρησιμοποιήσετε αυτούς τους κωδικούς για να συνδεθείτε.

Για τις υπόλοιπες ερωτήσεις, πατήστε Yόταν σας ζητηθεί για ενημέρωση του .google_authenticatorαρχείου, Yγια απαγόρευση πολλαπλών χρήσεων του ίδιου διακριτικού, Nγια αύξηση του χρονικού παραθύρου και Yγια ενεργοποίηση του περιορισμού ρυθμού.

Θα πρέπει να επαναλάβετε αυτό το βήμα για όλους τους χρήστες του υπολογιστή σας, διαφορετικά δεν θα μπορούν να συνδεθούν αφού ολοκληρώσετε αυτό το σεμινάριο.

Βήμα 3: Διαμορφώστε το SSH για χρήση του Google Authenticator

Τώρα που όλοι οι χρήστες στον υπολογιστή σας έχουν ρυθμίσει την εφαρμογή ελέγχου ταυτότητας Google, ήρθε η ώρα να διαμορφώσετε το SSH ώστε να χρησιμοποιεί αυτήν τη μέθοδο ελέγχου ταυτότητας έναντι της τρέχουσας.

Εισαγάγετε την ακόλουθη εντολή για να επεξεργαστείτε το sshdαρχείο.

sudo nano /etc/pam.d/sshd

Βρείτε τη γραμμή @include common-authκαι σχολιάστε την, όπως φαίνεται παρακάτω.

# Standard Un*x authentication.
#@include common-auth

Προσθέστε την ακόλουθη γραμμή στο κάτω μέρος αυτού του αρχείου.

auth required pam_google_authenticator.so

Πατήστε CTRL+ Xγια αποθήκευση και έξοδο.

Στη συνέχεια, πληκτρολογήστε την ακόλουθη εντολή για να επεξεργαστείτε το sshd_configαρχείο.

sudo nano /etc/ssh/sshd_config

Βρείτε τον όρο ChallengeResponseAuthenticationκαι ορίστε την τιμή του σε yes. Βρείτε επίσης τον όρο PasswordAuthentication, καταργήστε το σχόλιο και αλλάξτε την τιμή του σε no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

Το επόμενο βήμα είναι να προσθέσετε την ακόλουθη γραμμή στο κάτω μέρος του αρχείου.

AuthenticationMethods publickey,keyboard-interactive

Αποθηκεύστε και κλείστε το αρχείο πατώντας CTRL+ X. Τώρα που έχουμε διαμορφώσει τον διακομιστή SSH ώστε να χρησιμοποιεί τον Επαληθευτή Google, ήρθε η ώρα να τον επανεκκινήσουμε.

sudo service ssh restart

Δοκιμάστε να συνδεθείτε ξανά στον διακομιστή. Αυτή τη φορά θα σας ζητηθεί ο κωδικός Authenticator.

ssh user@serverip

Authenticated with partial success.
Verification code:

Εισαγάγετε τον κωδικό που δημιουργεί η εφαρμογή σας και θα συνδεθείτε με επιτυχία.

Σημείωση

Σε περίπτωση που χάσετε το τηλέφωνό σας, χρησιμοποιήστε τους εφεδρικούς κωδικούς από το Βήμα 2. Εάν χάσατε τους εφεδρικούς κωδικούς σας, μπορείτε πάντα να τους βρείτε στο .google_authenticatorαρχείο στον αρχικό κατάλογο χρήστη αφού συνδεθείτε μέσω της κονσόλας Vultr.

συμπέρασμα

Η ύπαρξη ελέγχου ταυτότητας δύο παραγόντων βελτιώνει σημαντικά την ασφάλεια του διακομιστή σας και σας επιτρέπει να βοηθήσετε στην αποτροπή κοινών επιθέσεων ωμής βίας.